{"id":100875,"date":"2021-07-30T16:22:41","date_gmt":"2021-07-30T14:22:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod"},"modified":"2021-07-30T16:22:41","modified_gmt":"2021-07-30T14:22:41","slug":"46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/46-python-paketov-v-repozitorii-pypi-soderzhat-potenczialno-nebezopasnyj-kod","title":{"rendered":"46% pakiet\u00f3w Python w repozytorium PyPI zawiera potencjalnie niebezpieczny kod","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Grupa badaczy z Uniwersytetu w Turku (Finlandia) opublikowa\u0142a wyniki analizy pakiet\u00f3w w repozytorium PyPI pod k\u0105tem u\u017cycia potencjalnie niebezpiecznych konstrukcji, kt\u00f3re mog\u0105 prowadzi\u0107 do pojawienia si\u0119 luk w zabezpieczeniach. W trakcie analizy 197 tysi\u0119cy pakiet\u00f3w zidentyfikowano 749 tysi\u0119cy potencjalnych problem\u00f3w z bezpiecze\u0144stwem. W 46% pakiet\u00f3w wyst\u0119puje przynajmniej jeden taki problem. Najcz\u0119\u015bciej wyst\u0119puj\u0105ce problemy to niedoci\u0105gni\u0119cia zwi\u0105zane z obs\u0142ug\u0105 wyj\u0105tk\u00f3w oraz u\u017cywaniem mechanizm\u00f3w, kt\u00f3re dopuszczaj\u0105 podstawianie kodu. <\/p>\n
Spo\u015br\u00f3d zidentyfikowanych 749 tysi\u0119cy problem\u00f3w 442 tysi\u0105ce (41%) oznaczone zosta\u0142y jako drobne, 227 tysi\u0119cy (30%) jako problemy o umiarkowanej szkodliwo\u015bci, a 80 tysi\u0119cy (11%) jako niebezpieczne. Niekt\u00f3re pakiety wyr\u00f3\u017cniaj\u0105 si\u0119 w masie i zawieraj\u0105 tysi\u0105ce problem\u00f3w: na przyk\u0142ad w pakiecie PyGGI zidentyfikowano 2589 problem\u00f3w, g\u0142\u00f3wnie zwi\u0105zanych z u\u017cywaniem konstrukcji \u201etry-except-pass\u201d, w pakiecie appengine-sdk znaleziono 2356 problem\u00f3w. Du\u017ca liczba problem\u00f3w wyst\u0119puje r\u00f3wnie\u017c w pakietach genie.libs.ops, pbcore i genie.libs.parser. <\/p>\n
Nale\u017cy zauwa\u017cy\u0107, \u017ce wyniki uzyskano na podstawie przeprowadzenia zautomatyzowanej analizy statycznej, kt\u00f3ra nie uwzgl\u0119dnia kontekstu u\u017cycia danej konstrukcji. Programista narz\u0119dzia bandit, kt\u00f3re wykorzystano do skanowania kodu, wyrazi\u0142 opini\u0119, \u017ce z powodu do\u015b\u0107 wysokiej liczby fa\u0142szywych alarm\u00f3w, wyniki kontroli nie mog\u0105 by\u0107 bezpo\u015brednio uznawane za luki w zabezpieczeniach bez dodatkowego r\u0119cznego przegl\u0105dania ka\u017cdego problemu. <\/p>\n
Na przyk\u0142ad, analizator uwa\u017ca za problem bezpiecze\u0144stwa stosowanie niepewnych generator\u00f3w liczb losowych oraz algorytm\u00f3w haszuj\u0105cych, takich jak MD5, podczas gdy w kodzie podobne algorytmy mog\u0105 by\u0107 u\u017cywane do cel\u00f3w nie maj\u0105cych wp\u0142ywu na bezpiecze\u0144stwo. Analizator r\u00f3wnie\u017c uznaje za problem jak\u0105kolwiek obs\u0142ug\u0119 danych zewn\u0119trznych w niebezpiecznych funkcjach, takich jak pickle, yaml.load, subprocess i eval, jednak takie u\u017cycie niekoniecznie musi wi\u0105za\u0107 si\u0119 z pojawieniem si\u0119 luki i w rzeczywisto\u015bci zastosowanie tych funkcji mo\u017ce by\u0107 zrealizowane bez zagro\u017cenia dla bezpiecze\u0144stwa. <\/p>\n
W\u015br\u00f3d kontroli wykorzystanych w badaniu: <\/p>\n
\n
U\u017cycie potencjalnie niebezpiecznych funkcji exec, mktemp, eval, mark_safe itp.\n
Niebezpieczne ustalanie praw dost\u0119pu do plik\u00f3w.\n
Pod\u0142\u0105czenie gniazda sieciowego do wszystkich interfejs\u00f3w sieciowych.\n
U\u017cycie twardo zakodowanych hase\u0142 i kluczy.\n
U\u017cycie zdefiniowanego z g\u00f3ry katalogu tymczasowego.\n
U\u017cycie pass i continue w obs\u0142ugiwaniu wyj\u0105tk\u00f3w w stylu catch-all;\n
Uruchamianie aplikacji webowych opartych na frameworku Flask z w\u0142\u0105czonym trybem debugowania.\n
U\u017cycie niebezpiecznych metod deserializacji danych.\n
U\u017cycie funkcji haszuj\u0105cych MD2, MD4, MD5 i SHA1.\n
U\u017cycie niebezpiecznych algorytm\u00f3w szyfrowania DES i tryb\u00f3w szyfrowania.\n
U\u017cycie niebezpiecznej implementacji HTTPSConnection w niekt\u00f3rych wersjach Pythona.\n
Okre\u015blenie schematu file:\/\/ w urlopen.\n
U\u017cycie generator\u00f3w liczb pseudolosowych do realizacji zada\u0144 kryptograficznych.\n
Dodatkowo mo\u017cna zauwa\u017cy\u0107, \u017ce w katalogu PyPI odkryto 8 z\u0142o\u015bliwych pakiet\u00f3w. Przed usuni\u0119ciem problematyczne pakiety zosta\u0142y pobrane ponad 30 tysi\u0119cy razy. W celu ukrycia z\u0142o\u015bliwej aktywno\u015bci oraz omini\u0119cia ostrze\u017ce\u0144 prostych analizator\u00f3w statycznych w pakietach zastosowano kodowanie blok\u00f3w kodu przy u\u017cyciu Base64 oraz zorganizowano ich wykonanie po dekodowaniu poprzez wywo\u0142anie eval. <\/p>\n
W pakietach noblesse, genesisbot, are, suffer, noblesse2 i noblessev2 zidentyfikowano kod do przechwytywania numer\u00f3w kart kredytowych oraz hase\u0142 zapisanych w przegl\u0105darkach Chrome i Edge, a tak\u017ce do przesy\u0142ania token\u00f3w kont z aplikacji Discord oraz wysy\u0142ania danych o systemie, w tym zrzut\u00f3w ekranu. W pakietach pytagora i pytagora2 istnia\u0142a mo\u017cliwo\u015b\u0107 pobierania i wykonywania zewn\u0119trznego kodu wykonywalnego. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"